Privacyverklaring

Wie is Hoeray?

1. Twee rollen: verantwoordelijke én verwerker

Hoeray verwerkt persoonsgegevens in twee verschillende rollen. Het maakt voor jouw rechten uit in welke rol wij je gegevens verwerken:

a) Hoeray als verwerkingsverantwoordelijke. Voor gegevens van klanten (accounthouders en gebruikers), prospects (bijvoorbeeld via onze formulieren) en bezoekers van onze website bepaalt Hoeray zelf doel en middelen van de verwerking. Op deze verwerkingen zijn de delen 2 tot en met 6 van deze verklaring van toepassing.

b) Hoeray als verwerker. De gegevens van medewerkers van onze klanten (namen, geboortedata, privéadressen en overige HR-gegevens) verwerken wij uitsluitend in opdracht van de werkgever. De werkgever is verwerkingsverantwoordelijke; Hoeray is verwerker. Op deze verwerking is de verwerkersovereenkomst op hoeray.com/dpa van toepassing. Deel 7 van deze verklaring legt uit wat dit betekent en hoe medewerkers hun rechten uitoefenen.

Eén uitzondering: verstuurt Hoeray een eigen attentie (zoals de gratis welkomstkaart die wij nieuwe klanten sturen), dan doet Hoeray dat voor eigen rekening en is Hoeray voor die verzending zelf verantwoordelijke.

2. Welke persoonsgegevens wij als verantwoordelijke verwerken

Klantgegevens (accounthouders en gebruikers)

• Naam
• Zakelijk e-mailadres
• Telefoonnummer
• Adresgegevens van de organisatie
• KvK-nummer (bij eenmanszaken en personenvennootschappen is dit een persoonsgegeven)
• Btw-nummer
• Inloggegevens (wachtwoord versleuteld opgeslagen) en, indien ingeschakeld, gegevens voor tweefactorauthenticatie
• Betaal- en factuurgegevens (betalingen verlopen via Stripe; Hoeray slaat zelf geen kaart- of rekeninggegevens op)
• Acceptatiegegevens (tijdstip en versie van geaccepteerde voorwaarden)

Prospectgegevens (formulieren en aanvragen)

• Naam, e-mailadres en organisatienaam die je zelf invult op onze formulieren (bijvoorbeeld een demo-aanvraag of wachtlijst)

KvK-verificatie en proefperiode-registratie

• Bij registratie controleren wij het opgegeven KvK-nummer in het Handelsregister.
• Omdat de gratis proefperiode één keer per KvK-nummer geldt, bewaren wij van organisaties die een proefperiode hebben gebruikt een registratie van het KvK-nummer — óók nadat het account is verwijderd. Zo voorkomen we misbruik van de proefperiode. Voor eenmanszaken is dit een persoonsgegeven; we bewaren hiervoor uitsluitend een gehashte (onomkeerbaar versleutelde) vorm van het KvK-nummer, gedurende maximaal vijf jaar (zie deel 4).

Websitegegevens (uitsluitend functioneel)

• IP-adres
• Browsertype
• Campagnelabel (zie deel 6, cookies en lokale opslag)

3. Doeleinden en grondslagen

Wij verwerken de gegevens uit deel 2 voor de volgende doeleinden, telkens met de bijbehorende grondslag:

• Het leveren van onze dienst — het aanmaken en beheren van je account, het uitvoeren van goedkeuringsrondes en het versturen van attenties. Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
• Facturering en administratie. Grondslag: uitvoering van de overeenkomst en wettelijke verplichting (art. 6 lid 1 sub b en c AVG — fiscale bewaarplicht).
• Communicatie over de dienst — servicemails zoals de maandelijkse goedkeuringsherinnering en verlengingsherinneringen. Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
• Direct marketing over onze eigen dienst — zie de aparte paragraaf hieronder. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG), in samenhang met de bestaande-klantrelatie-uitzondering van art. 11.7 lid 3 Telecommunicatiewet.
• Verbetering en beveiliging van de dienst — waaronder foutopsporing en het tegengaan van misbruik (rate limiting, eenmalige-proefperiode-controle). Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).
• KvK-verificatie bij registratie — controleren dat wij uitsluitend aan zakelijke klanten leveren. Grondslag: gerechtvaardigd belang en uitvoering van de overeenkomst.

Direct marketing en jouw aparte recht van bezwaar

Op grond van de klantrelatie kan elke zakelijke contactpersoon van een klant (accounthouders en gebruikers) en elke prospect van Hoeray marketingmail over onze eigen dienst ontvangen — bijvoorbeeld tips tijdens het onboarden, productnieuws of een aanbod om je abonnement uit te breiden — tenzij je je individueel hebt afgemeld. Ook leggen we bij registratie vast via welke marketingcampagne je organisatie bij ons kwam (zie deel 6), zodat we weten welke campagnes werken.

• Afmelden kan per e-mailadres, via de one-click-afmeldlink die in elk marketingbericht staat. Afmelden werkt direct en zonder inloggen.
• Ben je afgemeld, dan ontvang je van ons uitsluitend nog functionele berichten: berichten die nodig zijn voor de dienst, zoals goedkeuringsrondes, herinneringen, facturen en beveiligingsberichten. Die blijven wij sturen zolang je organisatie klant is.
• Je hebt daarnaast te allen tijde het onvoorwaardelijke recht bezwaar te maken tegen het gebruik van je gegevens voor direct marketing (art. 21 lid 2 en 3 AVG). Maak je bezwaar, dan stoppen wij deze verwerking onmiddellijk en zonder belangenafweging. Bezwaar maken kan via de afmeldlink of via hello@hoeray.com.

4. Bewaartermijnen

• Klantgegevens — gedurende de looptijd van de overeenkomst. Na beëindiging van de overeenkomst verwijderen of anonimiseren wij klantgegevens uiterlijk na twee (2) jaar, met uitzondering van gegevens die onder de fiscale bewaarplicht vallen.
• Financiële gegevens (facturen, betaaladministratie, tegoedadministratie) — zeven (7) jaar op grond van de fiscale bewaarplicht. Bij verwijdering van een account blijven uitsluitend deze financiële gegevens bewaard; overige persoonsgegevens worden direct gewist of geanonimiseerd.
• Prospectgegevens — tot twee (2) jaar na het laatste contact, of eerder zodra je je afmeldt of daarom vraagt.
• KvK-nummer voor de proefperiode-registratie — vijf (5) jaar, waarbij het KvK-nummer uitsluitend gehasht (onomkeerbaar versleuteld) wordt opgeslagen; uitsluitend om te voorkomen dat de eenmalige gratis proefperiode meermaals per KvK-nummer wordt gebruikt.
• Technische logbestanden — kortlopend en automatisch opgeruimd; zo worden registraties van rate limiting na twee (2) dagen verwijderd.
• Medewerkergegevens — zie deel 7; deze bewaren wij als verwerker volgens de termijnen in de verwerkersovereenkomst (uiterlijk 90 dagen na het einde van de klantrelatie, behoudens de fiscale uitzondering).

5. Ontvangers en doorgifte buiten de EER

Wij delen persoonsgegevens met de volgende dienstverleners, uitsluitend voor zover noodzakelijk voor onze dienstverlening:

De doorgiftemechanismen in deze tabel zijn geverifieerd op 27 augustus 2026.

Met alle verwerkers zijn verwerkersovereenkomsten gesloten conform de AVG. Vindt doorgifte buiten de Europese Economische Ruimte plaats, dan gebeurt dat uitsluitend op basis van een adequaatheidsbesluit van de Europese Commissie (zoals het EU-US Data Privacy Framework) of Standard Contractual Clauses met aanvullende waarborgen. Een kopie van de gehanteerde waarborgen kun je opvragen via hello@hoeray.com.

Bron van medewerkergegevens: medewerkergegevens ontvangen wij niet van de medewerkers zelf, maar van hun werkgever — via een door de werkgever geactiveerde koppeling met een HR-systeem (waaronder Nmbrs, Exact of Loket.nl) of via handmatige invoer door de werkgever.

6. Beveiliging, cookies en lokale opslag

Beveiliging. Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik en ongeoorloofde toegang, waaronder:

• TLS-versleuteling voor alle dataoverdracht
• Versleutelde opslag van gevoelige gegevens, waaronder HR-koppelingsgeheimen (met een eigen versleutelingssleutel) en tweefactorauthenticatie-geheimen
• Wachtwoorden uitsluitend als versleutelde hash opgeslagen
• Tweefactorauthenticatie, door de accounteigenaar verplicht te stellen voor de hele organisatie
• Toegangscontrole op basis van rollen en het least-privilege-principe, met een aparte databaserol voor de applicatie
• Dagelijkse geautomatiseerde monitoring en regelmatige back-ups

Cookies. Hoeray gebruikt drie soorten technieken. (1) Functionele cookies die noodzakelijk zijn voor het goed functioneren van de website — sessiecookies (voor inlogfunctionaliteit) en taalvoorkeurcookies; hiervoor is geen toestemming vereist. (2) Cookieloze statistiek (Vercel Web Analytics): geanonimiseerde paginastatistieken zonder cookies, zonder profielvorming en zonder identificatie van bezoekers. (3) Advertentiecookies van Google, Meta en/of LinkedIn — de cookiebanner noemt welke van deze partijen op dat moment daadwerkelijk worden gebruikt, en plaatsing gebeurt uitsluitend nadat je die via de cookiebanner hebt geaccepteerd (grondslag: toestemming, art. 6 lid 1 sub a AVG en art. 11.7a Telecommunicatiewet). Deze meten welke campagnes tot een bezoek of registratie leiden en kunnen door die partijen worden gebruikt voor doelgroepvorming; daarbij kunnen gegevens worden doorgegeven naar de Verenigde Staten onder het EU-VS Data Privacy Framework. Weiger je, dan wordt er niets van deze partijen geladen. Je keuze intrekken of wijzigen kan op elk moment via "Cookievoorkeuren" onderaan elke pagina — even makkelijk als accepteren. In de ingelogde klantomgeving plaatsen wij nooit advertentiecookies.

Campagnelabels (lokale opslag). Kom je op onze website binnen via een campagnelink (bijvoorbeeld een advertentie), dan bewaren we maximaal 30 dagen in je eigen browser (localStorage) de naam van die campagne. Dit zijn uitsluitend door onszelf gekozen campagnelabels — geen klik-ID's, geen identificatienummers en geen surfgedrag — en er wordt niets met derden gedeeld. Registreert je organisatie een account, dan leggen we bij die organisatie vast via welke campagne dat gebeurde; zo weten we welke campagnes werken. Registreer je niet, dan verdwijnt dit label vanzelf.

7. Medewerkergegevens: Hoeray als verwerker

Ben je medewerker van een organisatie die Hoeray gebruikt? Dan verwerkt Hoeray een beperkte set gegevens over jou, uitsluitend in opdracht van je werkgever, om attenties (zoals een verjaardagskaart of bloemen) bij je te laten bezorgen.

Welke gegevens: voornaam, achternaam, geboortedatum, adresgegevens, datum in en uit dienst, zakelijk e-mailadres, afdeling, functietitel, taalvoorkeur, en de bezorggegevens van verstuurde attenties (wat, wanneer en naar welk adres).

Waar ze vandaan komen: van je werkgever, via het HR-systeem van je werkgever of via handmatige invoer door je werkgever. Hoeray verzamelt deze gegevens niet zelf bij jou.

Wie er verantwoordelijk is: je werkgever is verwerkingsverantwoordelijke en bepaalt of en welke attenties worden verstuurd. Hoeray voert dit alleen uit, volgens de verwerkersovereenkomst op hoeray.com/dpa.

Hoe je je rechten uitoefent: wil je inzage, correctie of verwijdering van je gegevens, of wil je geen attenties (meer) ontvangen? Richt je verzoek aan je werkgever — die kan het direct in het platform regelen. Ontvangt Hoeray zo'n verzoek rechtstreeks van jou, dan sturen wij het onverwijld door naar je werkgever en ondersteunen wij de afhandeling; wij mogen als verwerker niet zelfstandig over je gegevens beslissen.

Hoe lang: zolang je werkgever klant is en jouw gegevens niet verwijdert. Na het einde van de klantrelatie worden medewerkergegevens — inclusief de bezorggegevens in de verzendhistorie — uiterlijk binnen 90 dagen verwijderd of geanonimiseerd, behalve waar de fiscale bewaarplicht (7 jaar, uitsluitend financiële administratie) langer bewaren vereist.

8. Je rechten als betrokkene

Verwerkt Hoeray gegevens over jou als klant, prospect of websitebezoeker (de rol van verantwoordelijke, delen 2 tot en met 6), dan heb je op grond van de AVG de volgende rechten:

• Recht op inzage — je kunt opvragen welke gegevens wij van je verwerken.
• Recht op correctie — je kunt onjuiste gegevens laten aanpassen.
• Recht op verwijdering — je kunt verzoeken je gegevens te verwijderen.
• Recht op beperking van de verwerking — je kunt verzoeken de verwerking te beperken.
• Recht van bezwaar — je kunt bezwaar maken tegen verwerkingen op grond van gerechtvaardigd belang; tegen direct marketing kun je altijd en onvoorwaardelijk bezwaar maken (zie deel 3).
• Recht op dataportabiliteit — je kunt verzoeken je gegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen.

Je kunt je verzoek indienen via hello@hoeray.com. Wij reageren binnen 30 dagen op je verzoek.

Ben je medewerker van een klant, richt je verzoek dan aan je werkgever (zie deel 7).

9. Wijzigingen in deze privacyverklaring

Wij behouden ons het recht voor deze privacyverklaring te wijzigen. Wijzigingen worden op deze pagina gepubliceerd met vermelding van de datum en het versienummer van de laatste aanpassing. Bij ingrijpende wijzigingen informeren wij klanten per e-mail. Eerdere versies zijn opvraagbaar via hello@hoeray.com.

10. Klachten

Heb je een klacht over de verwerking van je persoonsgegevens? Neem dan eerst contact met ons op via hello@hoeray.com. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, de toezichthoudende autoriteit op het gebied van privacybescherming: autoriteitpersoonsgegevens.nl.